У 90% российских компаний во время проверок на уязвимости выявляются утечки данных сотрудников. В числе топ-3 наиболее уязвимых сервисов, которые могут быть точками входа для атак на корпоративную ИТ-инфраструктуру, чаще всего встречаются веб-версия корпоративной почты (Outlook Web Access, OWA), SSH-клиенты (удаленное управление серверами), а также сайты на Bitrix и WordPress. Такие данные опубликовало ООО "Нейроинформ", которое получило их в ходе сканирования внешнего периметра более 100 российских организаций за 2025-2026 гг.

У 90% компаний были обнаружены утечки данных. Причем в 8 из 10 случаев среди них оказывались и пароли, а в отдельных случаях - действующие учетные данные сотрудников и клиентов. Также в одном из кейсов специалисты нашли утечку, датированную еще 2008 г., которая, несмотря на давний срок, открыла административный доступ к корпоративному сайту.

"Показатель в 90% - это результат совокупности нескольких факторов. Но одной из ключевых причин я бы назвал использование в рабочих целях сторонних устройств и сервисов. Личные устройства сотрудников организация не контролирует. На них могут оказаться, например, стилеры. Со сторонними сервисами похожая ситуация. Сотрудники передают в них рабочие данные и пароли, создают там учетные записи, аналогичные корпоративным. Так в компании появляется теневое ИТ. Если такой сервис взламывают, то он может стать точкой утечки, в которой хранилась часть корпоративной информации. Кроме того, через такой сервис злоумышленники могут выйти и на саму корпоративную инфраструктуру", - отметил руководитель департамента проектирования и внедрения АО "Инфозащита" (ITProtect) Кирилл Лукьянов.

"Сам факт обнаружения данных сотрудников не означает, что все эти компании были взломаны. Действительно, учетные данные могли попасть в утечки через сторонние сервисы или личные компьютеры сотрудников. При этом найденные базы накапливаются годами, поэтому проверка выявляет и давние неактуальные утечки. Проблема возникает, когда данные из такой утечки по-прежнему позволяют войти в корпоративную систему. Повторное использование паролей и отсутствие многофакторной аутентификации дают злоумышленнику эту возможность", - добавил руководитель отдела технического пресейла ООО "АйТи Таск" (IT Task) Михаил Тимаев.

У каждой второй компании в утечках присутствовали данные, похищенные стилерами - вредоносными программами, которые собирают сохраненные пароли и другую информацию с устройств пользователей. Источником компрометации становились в том числе личные компьютеры сотрудников, используемые для доступа к корпоративным сервисам.

Как показал анализ проведенных тестирований, одним из главных векторов атаки были сервисы удаленного администрирования ИТ-инфраструктуры. У 80% проверенных компаний из интернета был доступен SSH-сервис (Secure Shell, безопасная оболочка) - приложение удаленного администрирования серверов. При этом половина организаций использовала для доступа обычные пароли, а не SSH-ключи. В ряде случаев отсутствовали ограничения, препятствующие автоматизированному подбору паролей.

Другим распространенным вектором атаки стали системы корпоративной почты. Веб-версия почты Microsoft Exchange - Outlook Web Access (OWA) - встречалась у половины компаний, в которых проводилось тестирование. В 90% случаев специалисты смогли определить действующие логины сотрудников. Сами по себе они не дают доступ к почте, но становятся отправной точкой для подбора паролей.

Критичность подобной ситуации вызвана тем, что такие учетные записи являются доменными и открывают доступ не только к почте, но и к другим корпоративным системам. Кроме того, в 8 из 10 проверок информация из почтовых ящиков сотрудников позволяла пентестерам продвинуться дальше и получить доступ к локальной сети компании.

Еще один риск связан с некорректным шифрованием данных. У 9 из 10 компаний шифрование соединений на серверах настроено ниже общепринятого стандарта, а у 3 из 10 работают устаревшие протоколы шифрования, признанные небезопасными: при определенных условиях они позволяют перехватить данные.

"Некорректные настройки шифрования часто сохраняются из-за устаревших систем. В результате конфигурации, которые прежде считались допустимыми, могут годами оставаться без пересмотра. При определенных условиях это повышает риск перехвата и раскрытия информации, хотя еще не доказывает утечку. Защиту усиливают регулярные проверки сертификатов TLS и поэтапное отключение небезопасных протоколов и алгоритмов после тестирования совместимости", - отметил руководитель продукта Solar Dozor ГК "Солар" Али Гаджиев.

"Результаты проверок показывают, что для развития атаки злоумышленникам не всегда нужны сложные технические инструменты или неизвестные уязвимости. Нередко достаточно старого пароля, неправильно настроенного сервиса или информации, случайно оставленной в открытом доступе. Особенно показательно, что учетные данные из утечек многолетней давности используются для получения доступа к корпоративным системам. Проблема усугубляется тем, что внешний периметр трансформируется: появляются новые сервисы, обновляется ПО, меняются настройки. Поэтому организациям важно не ограничиваться разовыми проверками, а регулярно контролировать доступные из интернета активы, выявлять уязвимости и отслеживать изменения", - заключил генеральный директор ООО "Нейроинформ" Александр Дмитриев.